asArray()会跳过fields()和getter直接返回原始字段，导致敏感信息泄露；必须在查询阶段显式指定安全字段、封装安全方法、SQL层脱敏、并配合审计与代码扫描防控。
用 asArray() 获取数据时，确实会跳过模型的 fields() 和 extraFields() 定义，也不调用 getter 方法，直接返回原始数据库字段 —— 这意味着你定义的敏感字段过滤逻辑（比如隐藏 password_hash、id_card、phone）全部失效，极易造成信息泄露。
明确禁止敏感字段出现在 asArray 结果中
不要依赖模型层的 fields() 做最后把关。一旦用了 asArray()，就得在查询阶段就剔除敏感字段：
- 显式指定需要的字段：用
select(['id', 'username', 'email', 'created_at'])替代无条件select('*') - 避免
select([])或空select()，它可能退化为全字段查询 - 对关联查询也需约束：如
with(['profile' => function($q) { $q->select(['user_id', 'avatar']); }])
统一收口 asArray 使用场景
不建议在控制器或 API 层零散调用 asArray()。应封装为安全的数据导出方法：
- 在 Model 中新增静态方法，如
public static function safeAsArray($model, $allowed = [])，内部先做字段白名单过滤再调用asArray() - 对列表接口，优先使用
ArrayHelper::toArray()配合自定义fields()，它尊重 getter 和字段规则 - 导出 Excel 或生成 JSON API 响应时，用
toArray()+fields()组合，而非asArray()
数据库层前置脱敏（高危字段必做）
对真正不能落地到应用层的字段（如身份证、银行卡号），应在 SQL 查询时就做掩码处理：
- 用
CONCAT(LEFT(id_card, 3), '****', RIGHT(id_card, 4)) AS id_card等表达式替代原字段 - 在 ActiveQuery 中用
addSelect()注入脱敏字段，同时select(false)屏蔽原始字段 - 敏感字段绝不进 PHP 内存：哪怕只查一次、只存在几毫秒，也违反最小暴露原则
配合行为式字段审计（防漏补缺）
在关键模块（如用户中心、后台导出）启用字段访问日志或断言检查：
- 重写基类
ActiveRecord::asArray()，加入字段黑名单校验，命中即抛异常或触发告警 - CI/CD 流程中加入代码扫描规则，禁止
->asArray()后直接json_encode或var_export - 测试用例强制覆盖：构造含敏感字段的模型，验证
asArray()输出不含这些键
